VPN bideratua edo zubiduna: aukeratu bezeroak zer lortu behar duen kontuan hartuta

Sarbide bideratuak hautatutako zerbitzuak ematen ditu; sarbide zubidunak segmentu batera elkartzen da. Erabaki bezeroak zer lortu behar duen oinarri hartuta, eta gero egiaztatu eraiki duzun muga.

Egun berean bi txartel iristen dira: erabiltzaile batek barneko web aplikazioa behar du, eta ingeniari batek laborategiko tresnak Ethernet segmentu berean balego bezala jokatu behar du. Biei VPN-era jarri iezazkiezu erantzuten zaie, eta hor hasten da arazoa. Bideratutako tunelak eta zubidun tunelak harreman desberdinak hedatzen dituzte, eta haietako batek baino ez du eskaera bakoitzarekin bat egiten. Topologia aukeratzea sarbide-erabakia da, ez kriptografia-ezarpena.

Leihatilean berdin diruditen bi eskaera

Langilearen baldintza zerbitzu bat da, IP bidez irisgarria, kontrolatzen ez duzun gailu batetik. Ingeniariaren baldintza esteka-mailakoa da: tresnak Ethernet esparruak eta difusio bidezko aurkikuntza ikustea espero du, eta agian DHCP hartu uste duen segmentutik.

Galdera desberdinak dira, eta biei zubi batekin erantzuteak langilearen sarbidea bulegoko LAN osora zabaltzen du arrazoirik gabe.

Idatzi baldintza esaldi batean aukeratu aurretik: zein helmuga, zein protokolo eta zein pare agertu behar diren lokal. Erantzuna ostalari bat eta portu bat bada, bideratzeak estaltzen du. Erantzuna difusioz soilik hitz egiten duten gailuekin esparru-mailako harremana bada, zubia izan daiteke aukera bakarra. Tartean dagoen guztiak probako segmentu bat merezi du, ekoizpeneko LANaren ordez.

Ibilbidea LANeko kide izatea baino estuagoa da

Bezero bideratuak tunel azpisare batean helbidea eta zuk aukeratutako prefixuetarako ibilbideak lortzen ditu. Aplikazioaren zerbitzarira irits daiteke eta beste ezerera ez, politikak hori esaten badu. Atebidea betearazpen-puntu bihurtzen da, bide garrantzitsu bakoitzak hura zeharkatzen badu.

Ez nahastu ibilbidea baimen batekin. Bezeroari azpisare batera nola iritsi esateak ez dio eragozten beste helmuga bat probatzea.

Aplikatu sarbide-kontrola fluxua benetan betearazi dezakeen tokian, eta mantendu aplikazioaren beraren baimenak. Aurreratze-arau zabal batek edo ahaztutako bigarren interfaze batek diagramak iradokitakoa baino gehiago eman dezake. Irakurri indarrean dauden arauak, ez aurreikusitakoak. Ondoren probatu huts egin beharko lukeen helmuga bat, inork urratzen saiatu ez duen politika hipotesi bat baita.

Zubi batek onarpen-galdera aldatzen du

Zubidurak interfaze fisikoa eta TAP gailua software-kommutadore batean elkartzen ditu, beraz urrutiko gailuak difusio-domeinu berera elkartzen dira. Benetako gaitasuna eta benetako arriskua da: urrutiko gailua ez da jada gonbidatu bideratua, parte-hartzailea da.

Erabaki zein gailuk egin dezaketen bat, zein esparru-mota igaro behar duten eta non blokeatzen den nahi ez den elkarreragina. Helbideratzea eta DHCP autoritatea sare partekatuaren parte bihurtzen dira, eta segmentu bateko bi DHCP zerbitzarik espero duzun hondamendi bera sortzen dute.

Tresnarentzat, probako segmentu dedikatu bat normalean egokiagoa da bulegoko LANa baino. Mantendu kudeaketa-sarbidea esperimentutik kanpo, eta zehaztu nola kentzen den behin-behineko parte-hartzailea lana amaitzean.

Iragazketa bi topologietan dago

Zubi bat ez da berez iragaztezina, eta ibilbide bat ez da berez segurua. Linux zubi-iragazketak bere kakoak eta bere arau-sintaxia ditu, eta bideratutako IP aurreratzeko idatzitako arau bat ez zaie automatikoki aplikatzen zubidun esparruei.

Egiaztatu plataformak benetan zer onartzen duen muga bat agindu aurretik:

bridge link show
nft list ruleset

TUN eta TAP interfazearen trafikoa deskribatzen dute, ez zifratzea. Interfazeak aldatzeak ez du horietako ezer konpontzen: pareen autentifikazioa, lapurtutako gako bat eta kriptografia-politika zaharkitu bat guztiek gainditzen dute aldaketa. Bi muturrek oraindik bat datozen eta oraindik onartzen diren ezarpenak behar dituzte.

Frogatu muga hiru saiakerarekin

Onarpena hiru behaketa dira, ez diagramaren berrikuspena. Eskatutako eragiketak funtzionatu behar du, erlaziorik gabeko helmuga batek huts egin behar du, eta atearen beraren kudeaketa-zerbitzuek irismenetik kanpo egon behar dute.

Exekutatu baimendutako eta ukatutako bideak bezero beretik, eta erregistratu biak:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Zubi baterako, gehitu esteka-mailako egiaztapenak: baimendutako aurkikuntza-trafikoak zeharkatzen duen, helbideratzea aurreikusitako autoritatetik datorren eta behin-behineko parte-hartzailea kendu ondoren desagertu den. IP bideratu soilak baldintza jada betetzen duenean, bulegoko Ethernet segmentura elkartzeak justifikazio bereizia behar du, eta aldaketaren aurretik idatzi behar da.

Erlazionatutako artikuluak